冯若航：PostgreSQL 单次小版本更新修复 52 个 CVE
内容提要
PostgreSQL于11月12日发布14.25至18.7多个分支小版本及19 RC2，单次修复52个CVE和140多个Bug，规模罕见。原因是AI辅助代码审计大规模展开，OpenAI、Anthropic等团队参与发现漏洞，多为内存与类型安全问题；同时修复了并行pg_dump、增量备份、GIN索引等数据完整性隐患。作者建议尽快升级，并完成重编译C扩展、重建索引、重置备份基线等后续操作；PostgreSQL 14已停止支持。Pigsty 4.6同日发布配套包，简体中文本地化已覆盖全部版本。
延伸解读
AI审计推动漏洞集中披露
本次小版本修复52个CVE，远超往年每季度3-5个的水平，主要原因是AI辅助代码审计大规模展开。OpenAI、Anthropic等团队参与发现漏洞，多数为内存与类型安全问题，如类型混淆、释放后使用、堆溢出等。这并非PostgreSQL质量突然恶化，而是自动化审计让长期潜伏的缺陷被批量发现。作者指出，有活跃维护者的项目能及时修复，真正危险的是无人维护的废弃项目。
升级不止替换二进制
同大版本内升级虽无需pg_upgrade或逻辑导出重载，但本次仅替换服务器二进制不够。官方要求：重新编译C扩展以完全关闭CVE-2026-6460，并检查扩展源码兼容性；检查并重建可能受影响的GIN索引、使用gist_trgm_ops的GiST索引以及无界bpchar列上的B-tree索引；若使用增量备份，升级后需做一次全量备份重置基线，并检查分区表是否有意外的NOT NULL NO INHERIT约束。
数据完整性隐患比CVE更隐蔽
除安全漏洞外，140多个常规Bug修复中还包含多项数据完整性陷阱：对备库运行并行pg_dump可能同时损坏转储输出和备库数据；增量备份可能产生损坏的备份集；GIN索引和pg_trgm GiST索引可能损坏或无法返回匹配行；无界bpchar列上的B-tree去重可能导致仅索引扫描返回错误结果。这些问题无法靠防火墙防御，作者建议将本次升级排在日程前列。
PostgreSQL 14终止支持
14.25是PostgreSQL 14的最后一个版本，该分支已停止支持。仍在使用PG 14的生产环境应将大版本升级列入计划。此外，作者维护的Pigsty v4.6.0同日发布，默认基线对齐PostgreSQL 18.7，并重建了所有支持平台的扩展、同步软件包镜像。简体中文消息目录也已覆盖PostgreSQL 14至19全部六个大版本，服务器和命令行工具的错误提示将显示规范中文。
Q&A
PostgreSQL 这次小版本更新修复了多少个 CVE 和 Bug？
PostgreSQL 于 11 月 12 日发布的小版本更新（14.25 至 18.7 及 19 RC2）单次修复了 52 个 CVE 和 140 多个 Bug，规模罕见。
为什么这次 PostgreSQL 小版本更新修复了这么多漏洞？
原因是 AI 辅助代码审计大规模展开，OpenAI、Anthropic 等团队参与发现漏洞，多为内存与类型安全问题，导致大量长期潜伏的漏洞被集中发现。
这次更新修复了哪些数据完整性隐患？
修复了并行 pg_dump 对备库可能损坏转储输出和备库数据、增量备份可能产生损坏备份集、GIN 索引和 pg_trgm GiST 索引可能损坏或无法返回匹配行、以及无界 bpchar 列上的 B-tree 索引去重可能导致仅索引扫描返回错误结果等隐患。
升级到新小版本后需要执行哪些后续操作？
需要重新编译 C 扩展、检查并重建受影响的索引（GIN、GiST、B-tree）、重置增量备份基线并检查分区表约束，同时规划从 PostgreSQL 14 迁移。
PostgreSQL 14 现在还能继续使用吗？
PostgreSQL 14.25 是 14 系列的最后一个版本，已停止支持（EOL），生产环境应尽快规划大版本升级。
Pigsty 4.6 与这次 PostgreSQL 更新有什么关系？
Pigsty 4.6 于同日发布，默认基线对齐 PostgreSQL 18.7 和 Pig 1.11.0，并重建了所有支持平台的扩展、同步了软件包镜像、更新了离线安装包，确保用户能及时获得配套更新。
PostgreSQL 简体中文本地化现在进展如何？
简体中文消息目录（NLS zh_CN）已覆盖 PostgreSQL 14 到 19 所有六个大版本，在 PostgreSQL 19 中覆盖率已达 99%-100%，14-18 版本达 98%-100%，服务器和命令行工具现在能输出流畅的中文提示和错误信息。
